Hej Mats, Tack för det, tyvärr finns detta i alldeles för många online formulär och inte minst kravet på 2FA som många tjänster numera tvingar folk att ha. Utöver transportbolagen kan människor inte ta del av bankernas eller ens sjukvårdens tjänster i många avseenden. Förväntar ni att skrivelsen om samma sak omkring Skånetrafiken mailas av mig eller av er eller vem står med underskrift? -- Håkan Lane hl_operamail@fastmail.com On Sun, Sep 27, 2026, at 11:49 AM, Mats Karlsson via Listan wrote:

Nu har jag skickat in detta till Stockholms Lokaltrafik dataskyddsombud,

TLDR: SL kräver mobilnummer när man lämnar in klagomål och vill ha återkoppling via e-post. Men om man vill ha återkoppling via normal post (Smail) så krävs det inget mobil nummer.

/Mats

---------- Forwarded message ---------

Date: Fri, Sep 25, 2026 at 8:43 PM Subject: Obligatoriskt mobilnummer vid klagomål – begäran om rättslig grund, nödvändighet och DPIA enligt GDPR To: <dataskyddsombudet@sl.se>

Till SL dataskyddsombud,

Jag vill få klarhet i SL behandling av personuppgifter i samband med att en person lämnar ett klagomål eller en synpunkt via SL webbformulär.

I det aktuella formuläret krävs mobiltelefonnummer när jag väljer att få återkoppling via e-post. Om jag i stället väljer att få återkoppling via vanlig post krävs inte något mobiltelefonnummer.

Jag ifrågasätter inte att SL i vissa situationer kan ha ett legitimt behov av att behandla ett telefonnummer. Min fråga gäller varför telefonnumret är nödvändigt i just denna situation och varför uppgiften måste vara obligatorisk.

Om återkopplingen ska ske via e-post finns redan en e-postadress som kan användas för återkopplingen. Jag har därför svårt att se vilket ytterligare ändamål som kräver att ett mobiltelefonnummer samlas in och görs till ett villkor för att kunna lämna klagomålet och få återkoppling via e-post.

Jag begär därför att SL redovisar följande:

*1. Ändamålet med behandlingen*

Vilket eller vilka konkreta ändamål behandlas mobiltelefonnumret för när en person lämnar ett klagomål och väljer återkoppling via e-post?

*2. Rättslig grund enligt artikel 6 GDPR*

Vilken rättslig grund enligt artikel 6 GDPR åberopar SL för behandlingen av mobiltelefonnumret i denna situation?

Om SL åberopar artikel 6.1 e GDPR, vill jag även få en redogörelse för vilken uppgift av allmänt intresse eller vilken myndighetsutövning som gör behandlingen av just mobiltelefonnumret nödvändig.

*3. Uppgiftsminimering enligt artikel 5.1 c GDPR*

Hur har SL bedömt kravet på mobiltelefonnummer mot principen om uppgiftsminimering i artikel 5.1 c GDPR?

Jag vill särskilt veta varför en e-postadress inte anses vara tillräcklig när den uttryckligen valts som kanal för återkoppling.

Hur har SL bedömt att insamlingen av mobiltelefonnumret är *nödvändig*, och inte endast praktiskt användbar eller önskvärd, för det angivna ändamålet?

*4. Skillnaden mellan e-post och vanlig post*

Varför krävs mobiltelefonnummer när återkoppling ska ske via e-post, medan samma uppgift inte krävs när återkoppling ska ske via vanlig post?

Vilken konkret skillnad i behandlingen av själva klagomålsärendet motiverar denna skillnad?

*5. Varför är mobiltelefonnumret obligatoriskt?*

Jag vill särskilt ifrågasätta att mobiltelefonnumret är ett obligatoriskt fält och inte en frivillig kontaktuppgift.

Om SL anser att det finns ett legitimt ändamål för att behandla mobiltelefonnumret, varför kan uppgiften då inte lämnas frivilligt av den registrerade?

Vilken konkret behandling eller funktion förutsätter att mobiltelefonnumret lämnas, och varför kan denna funktion inte tillhandahållas utan att mobiltelefonnumret görs till ett villkor för att kunna lämna klagomålet och få återkoppling via e-post?

Om SL anser att mobiltelefonnumret är nödvändigt, innebär detta att en person som inte vill lämna sitt mobiltelefonnummer inte kan lämna ett klagomål via webbformuläret och få återkoppling via e-post?

Om svaret är ja, vilken rättslig och dataskyddsmässig bedömning ligger till grund för att tillgången till denna kommunikationskanal görs beroende av att ytterligare en personuppgift lämnas?

*6. Information enligt artikel 13 GDPR*

Var i den information som lämnas till den registrerade enligt artikel 13 GDPR framgår att mobiltelefonnummer är obligatoriskt för denna behandling, vilket ändamål uppgiften har och vilken rättslig grund som åberopas?

Om detta inte framgår tydligt av den information som lämnas i samband med formuläret, vill jag veta var SL anser att den registrerade får denna information.

*7. Inbyggt dataskydd enligt artikel 25 GDPR*

Har SL gjort en bedömning enligt artikel 25 GDPR av om det är möjligt att utforma formuläret så att endast de personuppgifter som faktiskt är nödvändiga för den valda återkopplingskanalen samlas in?

Har SL särskilt övervägt en utformning där mobiltelefonnumret är frivilligt när återkoppling sker via e-post?

Om en sådan bedömning har gjorts önskar jag få ta del av resultatet eller åtminstone den del som rör det obligatoriska mobiltelefonnumret och valet att göra fältet obligatoriskt.

*8. Konsekvensbedömning enligt artikel 35 GDPR*

Har SL genomfört en konsekvensbedömning avseende dataskydd (DPIA) enligt artikel 35 GDPR för den behandling av personuppgifter som sker genom kundtjänstformuläret, inklusive kravet på obligatoriskt mobiltelefonnummer?

Om en sådan konsekvensbedömning har genomförts begär jag att få ta del av den, alternativt de delar av konsekvensbedömningen som avser insamling och behandling av telefonnummer.

Om SL har bedömt att någon konsekvensbedömning enligt artikel 35 GDPR inte behöver genomföras, önskar jag få veta på vilka grunder SL har gjort den bedömningen.

Jag önskar även, om en sådan bedömning finns dokumenterad, få ta del av det dokumenterade underlag som ligger till grund för bedömningen att behandlingen inte medför sådan hög risk för fysiska personers rättigheter och friheter att en DPIA krävs.

Jag noterar särskilt att SL publicerade integritetsinformation anger att telefonnummer behandlas "i vissa fall", medan e-postadress och postadress anges bland de personuppgifter som SL normalt behandlar. Mot den bakgrunden önskar jag en konkret förklaring till varför telefonnumret är obligatoriskt i just denna situation.

Jag vill också understryka att min fråga inte gäller huruvida SL tekniskt sett kan samla in ett telefonnummer, utan huruvida det är *nödvändigt och proportionerligt att kräva uppgiften som villkor för att kunna lämna ett klagomål och få svaret via e-post*.

Jag önskar därför ett svar som anger den konkreta rättsliga grunden, ändamålet och nödvändigheten av behandlingen, snarare än en generell hänvisning till SL integritetspolicy eller till att uppgiften efterfrågas av kundtjänstens system.

Med vänlig hälsning,

Mats Karlsson